[發(fā)明專利]對病毒程序的驅動進行定位的方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 200910086687.4
• 申請日: 2009-06-17
• 公開（公告）號: CN101599114A
• 公開（公告）日: 2009-12-09
• 發(fā)明（設計）人: 郭強
• 申請（專利權）人: 北京東方微點信息技術有限責任公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F21/22;G06F9/44;G06F9/445
• 代理公司: 北京同立鈞成知識產(chǎn)權代理有限公司
• 代理人: 劉 芳

1.一種對病毒程序的驅動進行定位的方法，其特征在于，包括：

獲取第一系統(tǒng)調用的原始函數(shù)的入口地址；所述第一系統(tǒng)調用由于病毒程序的驅動保護而不能被正確執(zhí)行；

根據(jù)所述入口地址修改所述原始函數(shù)，以使調用所述原始函數(shù)的第二系統(tǒng)調用跳轉到預設的檢測代碼；所述第二系統(tǒng)調用不受所述病毒程序的驅動保護；

發(fā)起所述第二系統(tǒng)調用，利用所述檢測代碼獲取從所述第二系統(tǒng)調用的發(fā)起到所述原始函數(shù)的所有函數(shù)調用層次；

根據(jù)獲取的函數(shù)調用層次對每層函數(shù)指針對應的函數(shù)體進行鉤掛，插入定位代碼；

執(zhí)行第三系統(tǒng)調用，利用所述定位代碼定位所述病毒程序的驅動；所述第三系統(tǒng)調用由于所述病毒程序的驅動保護而不能被正確執(zhí)行。

2.根據(jù)權利要求1所述的對病毒程序的驅動進行定位的方法，其特征在于，利用所述檢測代碼獲取從所述第二系統(tǒng)調用的發(fā)起到所述原始函數(shù)的所有函數(shù)調用層次之后，還包括：

卸載所述檢測代碼。

3.根據(jù)權利要求1或2所述的對病毒程序的驅動進行定位的方法，其特征在于，插入定位代碼包括：

在所述每層函數(shù)指針對應的函數(shù)入口處插入入口記錄代碼；

利用所述定位代碼定位所述病毒程序的驅動，包括：利用所述入口記錄代碼記錄所述第三系統(tǒng)調用對所述每層函數(shù)指針對應的函數(shù)體的調用信息；

根據(jù)所述調用信息確定所述病毒程序的驅動。

4.根據(jù)權利要求1或2所述的對病毒程序的驅動進行定位的方法，其特征在于，插入定位代碼包括：

在所述每層函數(shù)指針對應的函數(shù)返回處插入返回處理代碼；?

利用所述定位代碼定位所述病毒程序的驅動，包括：利用所述返回處理代碼記錄所述第三系統(tǒng)調用對所述每層函數(shù)指針對應的函數(shù)體的調用信息；

根據(jù)所述調用信息確定所述病毒程序的驅動。

5.根據(jù)權利要求1或2所述的對病毒程序的驅動進行定位的方法，其特征在于，插入定位代碼包括：

在所述每層函數(shù)指針對應的函數(shù)入口處插入入口記錄代碼；以及在所述每層函數(shù)指針對應的函數(shù)返回處插入返回處理代碼；

利用所述定位代碼定位所述病毒程序的驅動，包括：利用所述入口記錄代碼及所述返回處理代碼記錄所述第三系統(tǒng)調用對所述每層函數(shù)指針對應的函數(shù)體的調用信息；

根據(jù)所述調用信息確定所述病毒程序的驅動。

6.根據(jù)權利要求1或2所述的對病毒程序的驅動進行定位的方法，其特征在于，

所述第一系統(tǒng)調用與所述第三系統(tǒng)調用為同一操作。

7.一種對病毒程序的驅動進行定位的系統(tǒng)，其特征在于，包括：

第一獲取模塊，用于獲取第一系統(tǒng)調用的原始函數(shù)的入口地址；所述第一系統(tǒng)調用由于病毒程序的驅動保護而不能被正確執(zhí)行；

修改模塊，用于根據(jù)所述入口地址修改所述原始函數(shù)，以使調用所述原始函數(shù)的第二系統(tǒng)調用跳轉到預設的檢測代碼；所述第二系統(tǒng)調用不受所述病毒程序的驅動保護；

第二獲取模塊，用于發(fā)起所述第二系統(tǒng)調用，利用所述檢測代碼獲取從所述第二系統(tǒng)調用的發(fā)起到所述原始函數(shù)的所有函數(shù)調用層次；

鉤掛模塊，用于根據(jù)獲取的函數(shù)調用層次對每層函數(shù)指針對應的函數(shù)體進行鉤掛，插入定位代碼；

定位模塊，用于執(zhí)行第三系統(tǒng)調用，利用所述定位代碼定位所述病毒程序的驅動；所述第三系統(tǒng)調用由于所述病毒程序的驅動保護而不能被正確執(zhí)?行。

8.根據(jù)權利要求7所述的對病毒程序的驅動進行定位的系統(tǒng)，其特征在于，還包括：

卸載模塊，用于在利用所述檢測代碼獲取從所述第二系統(tǒng)調用的發(fā)起到所述原始函數(shù)的所有函數(shù)調用層次之后，卸載所述檢測代碼。

9.根據(jù)權利要求7或8所述的對病毒程序的驅動進行定位的系統(tǒng)，其特征在于，所述鉤掛模塊具體用于在所述每層函數(shù)指針對應的函數(shù)入口處插入入口記錄代碼；或者具體用于在所述每層函數(shù)指針對應的函數(shù)返回處插入返回處理代碼；或者具體用于在所述每層函數(shù)指針對應的函數(shù)入口處插入入口記錄代碼，以及在所述每層函數(shù)指針對應的函數(shù)返回處插入返回處理代碼；

所述定位模塊具體用于利用所述入口記錄代碼記錄所述第三系統(tǒng)調用對所述每層函數(shù)指針對應的函數(shù)體的調用信息；或者具體用于利用所述返回處理代碼記錄所述第三系統(tǒng)調用對所述每層函數(shù)指針對應的函數(shù)體的調用信息；或者具體用于：用所述入口記錄代碼及所述返回處理代碼記錄所述第三系統(tǒng)調用對所述每層函數(shù)指針對應的函數(shù)體的調用信息；根據(jù)所述調用信息確定所述病毒程序的驅動。?